Löschen infizierter Datein
 

So! Nun hat's mich auch mal erwischt, kann in Zukunft nicht mehr über Freunde lachen, die sich mit Viren&Co rumplagen.

Symptome der Infektion in zeitlicher Abfolge

die updatefunktionen der WinFW und des AV(clamwin) wurden abgeschaltet und lassen sich imo auch nicht mehr aktivieren
das laden der meisten sites mit onlinescannern und AV-Progs wird verhindert
SecutityTool wollte mich schröpfen
zwei tage später forderte TotalPCDefender mit Nachdruck auch noch einen Obolus
alles begleitet von Systeminstabilität und aha-Effekten, das beenden der Arbeit am PC durch shutdown.exe ist eine dieser Nettigkeiten

Beide Programme sind im Taskmanager leicht zu finden und die *.exe files lassen sich problemlos von der Festplatte und aus der Reg löschen.
Nun ist erst mal Ruhe. Interessant -die SecurityTool-exe hat inzwischen einen anderen Namen, als der hier in einem anderen thread angegebene.
Hatte leider schon gelöscht bevor ich darauf stieß... begann mit 6884.....

Was bleibt sind die Trojaner und ein (evtll?)rootkit.
Und da beginnt das Rätseln -kann ich die infizierten Dateien einfach löschen und wo bekomme ich, wenn sie vom System benötigt werden "Ersatz" ohne gleich eine WinNeuinstallation in angriff nehmen zu müssen?

ClamWin fand die Trojaner auch erst nach einem manuell ausgelösten Scan.Ist doch auch nicht normal,oder?
MalwarebytesAV hatte in einem ersten Durchlauf zusätzlich Trojan.Agent und Trojan.Banker gefunden, jetzt im 2. Durchlauf sind sie verschwunden, QuarantäneOrdner ist aber leer, hmmm....
CCleaner auch mehrmals eingesetzt, nix mehr zu beanstanden

im zipordner sind div Logfiles
File-Upload.net - Logfiles.zip

System: WinXP SP2/IE8/WinFW/ClamWin

Edit
Ja Teufel und Thunfisch... ich bekomme es mit dem Link nicht hin^^
hxxp://www.file-upload.net/download-2368989/Logfiles.zip.html

Hallo und :hallo:

Die Signaturen von MBAM waren nicht aktuell. Dazu hätte ich mal eine prinzipielle Frage, denn Du bist nicht der erste, der anscheinend es überliest Malwarebytes-Signaturen zu aktualisieren. Ist so nicht deutlich genug in unserer Anleitung? :confused:
Eigentlich muss man auch den Haken am Ende des Setups herausnehmen, denn standardmäßig aktualisiert MBAM seine Datenbanken am Ende des Setups!

Du kannst auch deswegen den Scan wiederholen.

1.) Vor jedem Durchlauf mit malwarebytes muss man manuell die Datenbanken aktualisieren
2.) Ein Vollscan ist immer notwendig!
3.) Alle Funde müssen am Ende entfernt werden

Bitte Malwarebytes mit diesen Bedingungen nochmal durchlaufen lassen. Danach bitte RSIT Logs erstellen und posten.

Danke für die Hinweise Arne.
Wußte erst nicht welches Häkchen du meinst und habe Setup noch mal ausgeführt. Das update-häkchen ist gesetzt, jedoch wird das update nicht ausgeführt. Nachdem dem Start, bricht der Vorgang mit errCode 732(12007, 2) ab, ohne das irgendwelche Aktivitäten, Herstellen einer Verbinung,laden einer site oä zu erkennen sind. Der DAU sagt sich in einem solchen Fall: OK,lieber die halbe Wahrheit, als gar keine^
In mehreren Fällen wurde MWBAV auch abgebrochen.. "MWBAV hat einen Fehler festgestellt -Bericht senden usw"

In der Ignorierliste von Malw hab ich jetzt auch die beiden anderen befallenen Dateien gefunden: Windows\msacm32.drv und Windows\wuasirvy.dll
Diese Dateien sind auch der Anlass für die Bitte um Hilfe. Im Win Ordner rumlöschen ist mir dann doch nicht ganz geheuer.
Da die Entwickler heutzutage übermenschliche Fantasie aufbringen Namen für Dateien zu kreieren ist es für den Normaluser nicht nachvollziehbar was er da löscht, oder unter Quarantäne stellen läßt

Mit dem VollScan ...ich gebe es ja zu, habe eigentlich damit gerechnet.
Die letzten Tage der Stress mit den FakeAV(der TotalPCDefender ist übel,hat ewig gedauert bis ich drauf kam explorer.exe über den Taskmanager zu starten,ging ja nix anderes mehr) heute den ganzen Tag Sites die nicht erreicht werden können, fremde,neue Programme bei denen ein falsches Häkchen das OS ins elektronische Nirvana befördern kann, vorher der Vollscan mit ClamWinAV(fast 2 stunden), war dann einfach nur fertig, hab ja auch das log von CCleaner vergessen mit zu zippen,obwohl sie alle nebeneinander auf dem desktop liegen
...oder kurz - ich reiche das log eines Vollscan nach,lass den scan nachher über Nacht laufen.
Entschuldigung für die Bequemlichkeit mit dem quickscan.

mfG Ursus

....
Ihr Seitenaufruf konnte nicht verarbeitet werden, da Sie sich angemeldet haben, nachdem die vorherige Seite geladen wurde.
ist aber auch nicht gerade nervenschonend

Rattengift ;)(@ arne: Ich hab's übrigens immer noch nicht durchgelesen)

Bitte aus der Ignorierliste nehmen und wirklich auch löschen lassen.

MWBAM -> CCleaner -> reboot 2x ausgeführt -alle logs 0 Einträge
Datenbankversion immer noch die alte, da immer noch kein Zugriff auf irgendwelche sites von Malwareentwicklern möglich
Die neuen logs von GMER und HJT verglichen -keine Veränderungen.
Die beiden befallenen Dateien zuvor gelöscht.

WinFW und ClamWinAV sind damit erstmal für mich gestorben. Kaspersky IS 2010 gekauft, Installation natürlich auch nicht möglich, da auch hier der Zugriff auf die site nicht möglich ist. DNS kann nicht aufgelöst werden.Einziger Eintrag in Hosts ist der LocalHost.
Damit ist nun erst einmal fröhliches surfen nur mit WinFW, ohne AV angesagt.
Bekomme hier noch 'n Herzkasper.^

Da steh ich nun ich armer tor; und bin so schlau wie eh zuvor..
mit trauriger Mine und freundl Grüßen, Ursus

Mal was anderes...
auf eurer startseite kann ich mich anmelden, werde begrüßt
- gehe in den plagegeisterthread, kann ich nicht antworten, da nicht an gemeldet
also gleich in den plage thread dort anmelden(nach cachlöschen etc), hallo Ursus usw
antworte -will abspeichern ... geht meistens nicht, da nicht angemeldet
wenn es denn mal funktioniert werde ich, wie es sich gehört, zum Beitrag weitergeleitet, kann ihn aber nicht lesen,so wie das gesamte Thema, da innerhalb 1 sec immer abwechselnd diese adressen geladen werden

http://www.abload.de/img/krise95mc.jpg
http://www.abload.de/img/krise95mc.jpg
und eure
die ersten beiden, werden nicht angezeigt, nur kurzes flackern der Browseranzeige

*Augentropfen sind nun alle :balla:

uppps....
hier die 2. adresse

edieren auch nicht möglich
http://www.abload.de/img/ursusinnot7cct.jpg

1. Hol dir Avenger (hxxp://virus-protect.org/artikel/tools/avenger.html)

2. Starte Avenger

3. Setze beide Häkchen

4. Kopiere in das Script-Feld

5. Klicke auf "Execute"

6. Lass den PC von Avenger neu starten.

7. Poste das Log vom Avenger (erscheint nach dem Neustart)

Es

geht

nicht! blubb

Ich kann auf meiner Schachseite Partien spielen, kann auf Navyfield.de Schiffchen versenken, hier in dem schönen Forum schmökern, wahrscheinlich könnte ich mir auch nette Bildchen auf www.titten.de & Co ansehen.
Aber ich komme auf keine Site von Malwarekillern, oder auf Seiten auf denen die Schlagworte Antivirus, Security,Protect oder sonstwas vorkommt. Hab mir von Google die Sites aller bekannten Entwickler suchen lassen und versucht diese zu besuchen. Gerade mal zu Avira kam ich durch. Imo bin ich Freiwild für den dümmsten Malwareschreiber, ummmpf.

Die rqzkkb.sys hatte ich irgendwann schon mal im Focus, weiss jetzt aber nicht mehr in welchem Zusammenhang.

Versuch den direkten Link:

hxxp://swandog46.geekstogo.com/avenger2/download.php

Oder:

hxxp://www.file-upload.net/download-2373600/avenger.zip.html

hehe *g ausgetrickst
ich glaub wenn wir hir fertig sind, werden wir festellen, dass Windoof auch ohne *.sys und *.drv läuft
nun gut....

Logfile of The Avenger Version 2.0, (c) by Swandog46
hxxp://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Driver "rqzkkb" deleted successfully.

Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\rqzkkb.sys" not found!
Deletion of driver "rqzkkb.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.
erstmal thx für hilfe

Versuche jetzt wieder Malwarebytes. Wenn Update immer noch nicht geht, erstmal einen Quick-Scan.

HAAAAAAA! Bitdefender, MicrosoftSecurity, Kaspersky ....alle wieder da!!!
Guter Mann, öhm, oder Frau.

SION for President!

Das war's jetzt??
Egal, nochmals vielen Dank bis hierher.
Nun die 40€ für Kasperskys IS 2010 ihrer Bestimmung zuführen.
Dann beten und sehen was der neue Tag bring.

mbfG UrsusTr

Wahrscheinlich nicht. Auf jeden Fall ist da noch die modifizierte atapi.sys.
Mach einen Update und einen Vollscan mit Malwarebytes. Ein Scan mit Kaspersky schadet natürlich auch nicht.

gez: Sion, der Mann :D